CVE-2025-61919

Nome do Software Vulnerável e Versões Afetadas Versões do Rack anteriores a 2.2.20 Versões do Rack anteriores a 3.1.18 Versões do Rack anteriores a 3.2.3

Descrição O Rack é uma interface de servidor web modular para Ruby. Nas versões anteriores a 2.2.20, 3.1.18 e 3.2.3, o método Rack::Request#POST lê o corpo inteiro da requisição na memória ao lidar com requisições Content-Type: application/x-www-form-urlencoded sem impor um limite ou tamanho máximo. Isso pode levar a uma negação de serviço (DoS) através do esgotamento de memória se um atacante enviar um corpo de requisição grande. O código vulnerável chama rack.input.read(nil), o que permite leituras sem limites de corpos application/x-www-form-urlencoded.

Recomendações Atualize para a versão 2.2.20 do Rack para corrigir o problema. Atualize para a versão 3.1.18 do Rack para corrigir o problema. Atualize para a versão 3.2.3 do Rack para corrigir o problema. Imponha um tamanho máximo rígido do corpo na camada de proxy ou servidor web, como por exemplo usar client max body size no Nginx ou LimitRequestBody no Apache.